PHP, Brotli 보안 수정을 담은 Windows 패키지 재배포

서버는 사이트 방문자의 요청을 처리하고 필요한 자료를 보내 주는 컴퓨터입니다. PHP는 WordPress 같은 웹사이트에서 이 처리를 맡는 프로그램이고, cURL 확장은 PHP가 다른 서버에서 자료를 가져오게 하는 통신 도구입니다. Brotli는 전송량을 줄이는 압축 방식이며, 디코더는 받은 자료를 다시 읽을 수 있게 풀어 주는 부품입니다.

자동 압축 해제를 켠 가상의 가게 서버가 외부 가격표 서비스를 호출한다고 해 봅시다. 평소에는 압축된 가격표를 풀어 숫자를 읽습니다. 여기서는 외부 서비스가 침해돼 공격자가 바꾼 응답을 보냈다고 가정합니다. 그 자료를 수정 전 디코더가 풀면 결함에 도달할 수 있습니다.

%% 가상 가격표 서비스가 침해됐을 때의 입력 경로 · PHP와 cURL 문서 기준
flowchart TD
  A["가게의 Windows PHP 서버"] -->|"가격표 요청"| B["가정: 외부 서비스 침해"]
  B -->|"조작된 Brotli 응답"| C["cURL 자동 압축 해제 켜짐"]
  C --> D["수정 전 디코더가 자료 처리"]

PHP 공지는 Windows 패키지에서 cURL의 HTTP 응답 자동 압축 해제를 켰을 때 취약한 디코더에 도달할 수 있다고 설명합니다. cURL 기본값은 꺼짐이지만 앱이나 통신 라이브러리가 켤 수 있습니다. 운영자가 직접 켠 기억이 없어도 앱의 설정을 살펴야 하는 이유입니다. 자동 압축 해제 옵션

메모리는 프로그램이 일하는 동안 자료를 잠깐 두는 작업 공간입니다. 이번 결함은 잘못된 압축 입력을 처리하다가 정해진 작업 칸 밖까지 쓰는 문제입니다. Brotli 개발팀은 이를 1.2.1에서 수정했다고 밝혔고, 같은 CVE를 다룬 Node.js 공지는 메모리 손상이 처리 중단·정보 노출·조건에 따른 코드 실행으로 이어질 수 있다고 설명합니다. Brotli 릴리스 · Node.js 보안 설명

작업 칸 옆에는 다른 자료나 프로그램이 다음 처리를 이어 가는 데 쓰는 정보도 있을 수 있습니다. 그 정보를 덮어쓰면, 나중에 이를 읽는 프로그램이 멈추거나 의도와 다른 일을 할 수 있습니다. 아래 표는 이 일반 원리를 작업 칸에 비유한 것으로, 이번 PHP 결함의 실제 메모리 배치나 공격 성공을 재현한 것은 아닙니다. 보안 약점 분류 CWE의 범위 밖 쓰기 설명

설치 패키지는 PHP 본체와 통신·압축 같은 의존 부품을 묶습니다. 이번 공식 Windows 재배포본의 대응은 다음과 같습니다.

예를 들어 공식 Windows 패키지로 PHP 8.4.27을 쓰는 사이트라면 8.4.27-1 배포 묶음을 찾아야 합니다. 관리 화면의 PHP 번호만으로는 포함된 Brotli 수정까지 알 수 없으므로, 설치한 패키지 이름·개정과 공급자의 수정 기록을 함께 봅니다.

운영체제나 설치 방식을 모르면 서버 담당자에게 그 정보부터 묻습니다. 호스팅 업체가 별도 패키지를 공급한다면 수정 내용을 자기 배포판에 넣은 근거를 받아야 합니다. Windows용 -1을 Linux 서버의 업데이트 번호로 적용하는 것은 아닙니다.

PHP의 cURL 정보에는 사용 중인 Brotli 버전을 보여 주는 항목이 있습니다. 담당자는 이를 해당 사이트의 실행 환경에서 볼 수 있습니다. 명령줄에서 확인한 PHP가 사이트를 처리하는 PHP와 다른 설치본일 수 있으므로, 확인 대상을 맞추는 것이 중요합니다. PHP의 cURL 버전 정보

서버를 바꾸기 전에는 백업을 확보하고 기존 구성에 맞는 패키지를 고릅니다. 교체 후에는 실행 중인 웹 처리에도 반영됐는지와 기존 기능이 동작하는지를 점검해야 대응이 끝납니다.